今週のまとめのトップは、イランの国家系攻撃グループ「MuddyWater」が最新のキャンペーンで使用している新しいバックドア「BugSleep」についてご紹介します。 次に、CTIでは、npmパッケージレジストリで最近発見された2つの悪意のあるパッケージについて検証します。 最後に、CTIは、「Void Banshee」という脅威アクターについて調査を行っています。このアクターは現在、MicrosoftのMHTMLブラウザエンジンにおいて最近公開された脆弱性を悪用し、「Atlantida」という情報窃取型マルウェアを配布しています。
1. MuddyWaterが「BugSleep」マルウェアを展開しています
（MuddyWater） （、別名Mercury）として知られるイランの国家系アクターは、最新のキャンペーンにおいて、「BugSleep」と呼ばれる新たなバックドアを使用しています。
BugSleep（ ）は、C2 と侵害されたデバイスとの間でコマンドを実行し、ファイルを転送するように設計されています。 このマルウェアは現在も開発中であり、継続的に更新が行われています。
MuddyWaterがルアーをどのように活用しているか
MuddyWaterは、攻撃キャンペーンの際、侵害されたメールアカウントから、多数の標的に対して「 」という件名のフィッシングメール を送信することがよくあります。 2024年2月以降、チェック・ポイントは、 10 以上の異なる業界および数百人の受信者を標的とした、50 件以上のスピアフィッシングメールを特定しました。
例えば、あるフィッシングメールは自治体を標的にし、新しい専用アプリをダウンロードするよう促していました。 その他の誘引策ははるかに汎用性が高く、複数の業界や地域で活用できるウェビナーやその他のオンライン講座への招待などが含まれていました。
MuddyWaterの感染経路
その俳優は、ファイル共有プラットフォーム「Egnyte」を悪用し、フィッシングメールにそのサブドメインを記載しています。
被害者がこれらの共有リンクをクリックすると、ダウンロード用のアーカイブが掲載されたサイトに誘導されます。 このアーカイブには、BugSleepというマルウェアが含まれています。
BugSleepとは何ですか？
BugSleepは、MuddyWaterが 2024年5月以降使用している新しいマルウェアです。
BugSleepは、このグループによる正規のRMMツールの多用を部分的に置き換えました。 チェック・ポイントはすでに、実環境においてこのマルウェアの複数の異なるバージョンを確認しており、新しいバージョンが出るたびに機能の改善やバグ修正が行われています。
このマルウェアのすべてのバージョンは、サンドボックス内で実行されるのを回避するために、最初にSleep APIを数回呼び出します。 その後、ほとんどのサンプルは、マルウェアが 30 分ごとに確実に実行されるようにする、永続化のためのスケジュールされたタスクを作成します。
このマルウェアは、ファイルの内容を C2に送信したり、ファイルに内容を書き込んだり、永続化タスクの削除・作成・ステータスの確認、スリープ時間の更新など、いくつかのコマンドを実行することができます。
分析対象のサンプルの1つには、BugSleepをメモリ上に読み込み、以下のプロセスのいずれかに読み込むカスタムローダーも同梱されていました：msedge.exe、opera.exe、chrome.exe、anydesk.exe、Onedrive.exe、powershell.exe。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
MuddyWaterは少なくとも 2017年から活動しており、その手法や標的となる対象を絶えず拡大し続けています。
この最新のMuddyWaterキャンペーンは、この俳優の転機を浮き彫りにしています。 MuddyWaterは、これまで環境へのアクセスを維持するために、正規のRMMソフトウェアの利用に大きく依存してきました。
チェック・ポイントの調査によると、この攻撃者は、システムに潜伏し続けるための新たな手法や新しいマルウェアを試験的に導入しており、今後さらに新たな動きが見られる可能性が高いことが示唆されています。
2。 研究者らがnpmレジストリ上で悪意のあるファイルを発見しました
最近、npmパッケージレジストリ上で2つの という悪意のあるパッケージが特定されました（ ）。これらのパッケージには、パッケージのインストール時に実行される画像ファイルに隠された、高度なコマンド＆コントロール機能が含まれていました。
このキャンペーンで特定された2つのパッケージは、いずれも の正規のAWSパッケージの偽のクローンでした。
悪意のある npm パッケージ
2つの悪意のあるパッケージは、 img-aws-s3-object-multipart-copy とlegacyaws-s3-object-multipart-copyです。
最初のパッケージは、GitHubに掲載されている正規のAWSパッケージのコピーです。 攻撃者は、index.js ファイルを更新し、悪意のあるパッケージに追加された追加スクリプトである loadformat.js を実行するようにしました。
画像処理から実行まで
Phylum社（その技術は 2025 年にVeracodeに買収されましたが、ここでは元の社名で言及しています）は、Loadformat.jsを詳細に分析した結果、ディスクから画像ファイルを読み込んだ後、各バイトが分析されていることが判明しました。
特定の本体や変数を定義した後、画像ファイルから抽出されたスクリプトに含まれる内容はすべて実行されます。
JPEGにおけるコマンドと制御
Phylumは、それらの画像の中にどのような実行ファイルが含まれているのかを理解しようとしました。 彼らは、そのパケットのルートディレクトリ内に、「 logo1.jpg」、「 logo2.jpg」、および「 logo3.jpg」の3つのファイルを特定しました。
Phylumは、このコードが、ホスト名やオペレーティングシステムの種類といった特定の情報を特定のIPアドレスに送信することで、リモートの C2 に新しいクライアントを登録することを突き止めました。 その後、5秒ごとに C2 からコマンドを取得するためのループ処理が作成されます。
取得されたコマンドはデバイス上で実行され、その実行結果は脅威アクターに送信されます。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
これら2つのパッケージは、最終的にnpmから削除されましたが、一般公開されてから約2日後に削除されたのです。
オープンソースソフトウェアに伴うリスクは、おそらく今後も常に存在し続けるでしょう。その主な理由は、脅威アクターが、組織が多くのオープンソースソフトウェアやパッケージに大きく依存していることを理解しているからです。 このことは、ここ数年、オープンソースのリポジトリに公開される悪意のあるパッケージの数が大幅に増加していることからも明らかです。
これらのパッケージは、正規のパッケージがトロイの木馬化されたものではなく、正規のパッケージのクローンであったことにご留意ください。 オープンソースのパッケージについては、細心の注意を払い、オープンソースのリポジトリから何をダウンロードしているのかをしっかりと確認することが重要です。
3。 「Void Banshee」は、MicrosoftのMHTMLの脆弱性を悪用します
「Void Banshee」という脅威アクターは現在、MicrosoftのMHTMLブラウザエンジンに最近公表された脆弱性を悪用し、「Atlantida」という情報窃取型マルウェアを配布しています。
この脆弱性は、無効化されていたInternet ExplorerのMSHTMLを介してファイルにアクセスし、実行するための多段階攻撃に利用されました。 の「Atlantida」情報窃取型マルウェア（ ）は、システム情報や、パスワードやクッキーなどの機密データを盗み出そうとします。
脆弱性
CVE-2024-38112 は、MHTMLにおけるRCEの脆弱性です。 この脆弱性は、無効化されていたInternet ExplorerのMSHTMLを利用して、ファイルを実行するためのゼロデイ攻撃として悪用されました。
この脆弱性は、 2024年7月 の「パッチ・チューズデー」で修正されました。 2024年5月年半ば以降、Void Bansheeがこの脆弱性を、感染チェーンの一環として悪用していることが確認されました。
Internet Explorerを攻撃の手段として利用すること
Internet Explorerのサポートは 2022 年6月に終了し、それ以降のバージョンのWindowsでは使用できなくなっています。 しかし、これはシステムから削除されたことを意味するわけではありません。 Windowsシステム上には、一般のユーザーがアクセスしたり確認したりできない場合でも、Internet Explorerの残骸が依然として存在しています。 ユーザーが「iexplorer.exe」を見つけて開こうとした場合、単にMicrosoft Edgeにリダイレクトされることになります。
トレンドマイクロによると、この「Void Banshee」キャンペーンにおいて、攻撃者は CVE-2024-38112 を悪用し、「無効化されたIEプロセスを通じて……MSHTMLを介して、ファイルやWebサイトを実行した」とのことです。 そのために、攻撃者は特別に作成されたURLファイルを使用し、無効化されていたIEプロセスを通じてHTAファイルを直接実行することに成功しました。
技術的な詳細
- 攻撃を開始するために、攻撃者は、PDF形式の書籍と、PDFを装った悪意のあるファイルが含まれたZIPアーカイブを利用します。
- これらは主に、スピアフィッシングメールやクラウド共有サイトに含まれています。
- この攻撃は、被害者が、この脆弱性を悪用するように仕組まれた悪意のあるURLショートカットファイルをクリックした時点で始まります。
- このインターネットのショートカットファイルは、攻撃者が管理するドメインを指しており、そこではHTMLファイルが使用されて、感染のHTA部分がダウンロードされます。 また、このHTMLファイルは、アクターがブラウザ情報を隠すためにも利用されることがあります。
- Internet Explorer からこの URL にアクセスすると、HTA ファイルを開こうとし、HTML アプリを開くか保存するか、ユーザーに確認を求めます。 ユーザーにとっては、これは通常のPDFファイルとして表示されます。
- このファイルには、自身の内容を復号化し、その内容をPowerShellで実行するVBScriptが含まれています。 また、プロセス注入を行うために、.NET トロイの木馬ローダーも実行されます。 後の段階では、オープンソースの「Donut」ローダーを使用して、攻撃の最終的なペイロードである「Atlantida」ステラーを復号し、実行します。
Taniumのサイバー脅威インテリジェンスチームによるアナリストのコメント
Internet Explorerはすでにサポートが終了しているため、この攻撃は一見すると無関係に見えるかもしれません。 しかし、今回の攻撃が示すように、攻撃者は依然としてブラウザを悪用し、それを通じてユーザーや組織に感染させることが可能です。
トレンドマイクロが説明したように、Void BansheeのようなAPTグループは、IEなどの無効化されたサービスを悪用することができ、これは組織にとって重大な脅威となります。 この脆弱性についてはすでに修正パッチが適用されていますが、IEがインストールされていないと思い込んでパッチを適用しなかったユーザーにとっては、依然として脅威が残っています。
これらの記事について、何かご意見やご感想など、共有したいことはありますか？ にアクセスし、Taniumのディスカッションフォーラム（ ）で会話を始めてみてください。
さらに詳しくお読みになりたい方は、当社の最近の「」サイバー脅威インテリジェンスまとめ（）をご覧ください。